Für ColdFusion 2021 gibt es laut Adobe seit dem 10.11.2025 keine Sicherheits-Patches mehr. Wir vergleichen vier Wege: bleiben und absichern, aktualisieren, zu Lucee wechseln oder schrittweise ablösen, mit Terminen und Risiken (Stand: 2026-10).
ColdFusion und Lucee: Wartung, Updates und Migration
Unsere Ingenieure betreiben Adobe ColdFusion und Lucee seit 2015 ununterbrochen in Produktivsystemen, auch wenn Dokumentation und Autor fehlen.
- Seit 2015 ColdFusion und Lucee in Produktion
- Adobe ColdFusion 9 bis 2025
- Lucee 5, 6 und 7
Wo wir ColdFusion und Lucee einsetzen
Unsere Ingenieure betreuen ColdFusion- und Lucee-Anwendungen, die seit Jahren produktiv laufen. Häufig sind es gewachsene Fachanwendungen, deren Entwickler gegangen ist und deren Dokumentation fehlt.
Die Erfahrung reicht von Adobe ColdFusion 9 bis 2025 und von Lucee 5 bis 7. Unsere Ingenieure kennen ColdSpring und eigene Frameworks, haben Anwendungen von Windows und IIS auf Linux umgezogen und von Adobe ColdFusion auf Lucee migriert. Welche Arten von Systemen das waren, beschreiben wir unter Erfahrung. Was Lucee ist und worin es sich von Adobe ColdFusion unterscheidet, erklärt der Artikel Was ist Lucee?.
Typische Aufgaben bei ColdFusion und Lucee
- Notfallübernahme, wenn der Entwickler weg ist und das System weiterlaufen muss.
- Prüfung der Installation: Administrator und RDS, JVM, TLS, Backups, geplante Tasks und der Mailversand mit cfmail.
- Update von Adobe ColdFusion 2018 oder 2021 auf 2023 oder 2025.
- Migration von Adobe ColdFusion zu Lucee, mit Tests und Rückfallplan.
- Umzug von Windows und IIS auf Linux, auf Wunsch mit Docker, einschließlich Test der PDF-Ausgabe.
- Beheben von Schwachstellen aus Penetrationstest-Berichten (XSS, SQL-Injection) und erste Schwachstellenanalysen.
- Laufende Wartung: Adobe-Updates, JVM, Monitoring und Backups.
- Schrittweise Modernisierung: bewährte Logik als API bereitstellen und Neues daneben bauen (Monolith als Service).
- Wissenstransfer, Dokumentation und Code-Review für CFML.
Welche Version läuft bei Ihnen?
Adobe unterstützt jede ColdFusion-Version fünf Jahre im Core-Support. Für ColdFusion 2018, 2021 und 2023 folgt laut Adobe-Matrix ein Jahr erweiterter Support, für ColdFusion 2025 weist die Matrix keinen aus. Bei ColdFusion 2021 enthält der erweiterte Support laut Adobe keine Sicherheits-Patches und Hotfixes (Stand: 2026-10).
Support-Termine von Adobe ColdFusion
| Datum | Ereignis | Quelle |
|---|---|---|
| 2023-07-13 | Adobe ColdFusion 2018: Ende des Core-Supports. | helpx.adobe.com (öffnet in einem neuen Fenster) |
| 2025-11-10 | Adobe ColdFusion 2021: Ende des Core-Supports. | helpx.adobe.com (öffnet in einem neuen Fenster) |
| 2026-11-10 | Adobe ColdFusion 2021: Ende des erweiterten Supports, der laut Adobe keine Sicherheits-Patches und Hotfixes enthält. | helpx.adobe.com (öffnet in einem neuen Fenster) |
| 2028-05-16 | Adobe ColdFusion 2023: Ende des Core-Supports. | helpx.adobe.com (öffnet in einem neuen Fenster) |
| 2030-02-26 | Adobe ColdFusion 2025: Ende des Core-Supports. Erweiterten Support weist die Adobe-Matrix für diese Version nicht aus. | helpx.adobe.com (öffnet in einem neuen Fenster) |
Lucee im Überblick (Stand: 2026-10)
| Version | Status laut Lucee-Projekt | Was das für Sie bedeutet |
|---|---|---|
| Lucee 5.4 und älter | 5.4: Lebensende seit dem 31.12.2025; 5.3 und älter nicht mehr unterstützt | Keine Sicherheits-Updates mehr. Ein Upgrade auf 6.2 LTS oder Lucee 7 steht an. |
| Lucee 6.0 und 6.1 | Als ältere Releases geführt | Die Roadmap 2026 nennt nur 6.2 LTS und Lucee 7 als aktuelle Linien. Planen Sie den Wechsel. |
| Lucee 6.2 LTS | Zweig mit Langzeitsupport, kein Ende angekündigt | Nur kritische Fehlerkorrekturen und Regressionen, keine neuen Funktionen. |
| Lucee 7.0 und 7.1 | 7.0 stabil seit dem 03.11.2025; 7.1.0.204 das aktuelle stabile Release | Beide erhalten Updates. Lucee 7.1 verlagert den Mailversand (SMTP) in eine Erweiterung, prüfen Sie ihn bei jedem Upgrade. Das nächste LTS soll Lucee 7 werden. |
| Lucee 8.0 | Beta, nicht für den Produktivbetrieb | Der aktive Entwicklungszweig des Projekts. |
Wie steht es um die Sicherheit?
Am 30.06.2026 hat Adobe das Sicherheitsbulletin APSB26-68 mit Priorität 1 veröffentlicht. Es enthält Updates für ColdFusion 2025 (Update 10) und ColdFusion 2023 (Update 21). Die geschlossenen Lücken können zur Ausführung beliebigen Codes, zur Ausweitung von Rechten, zum Lesen beliebiger Dateien und zur Umgehung von Sicherheitsfunktionen führen. Laut Adobe wurde CVE-2026-48282 bereits in begrenzten Angriffen ausgenutzt (Stand: 2026-10).
Für ColdFusion 2021 nennt das Bulletin kein Update. Ob die Version betroffen ist, sagt Adobe dort nicht.
Für Adobe ColdFusion wie für Lucee gilt: Entscheidend sind eine unterstützte Version, ein Administrator ohne Zugang aus dem Internet und regelmäßige Updates. Alle Lucee-Termine und die Sicherheitshinweise des Projekts mit Quelle: Lucee: Support-Ende im Überblick.
Das Sicherheitsbulletin mit Datum und Quelle
| Datum | Ereignis | Quelle |
|---|---|---|
| 2026-06-30 | Adobe veröffentlicht das Sicherheitsbulletin APSB26-68. Patches gibt es nur für ColdFusion 2025 (Update 10) und ColdFusion 2023 (Update 21). | helpx.adobe.com (öffnet in einem neuen Fenster) |
Was sich nach dem Umzug von Windows auf Linux in PDFs und Dateipfaden ändern kann
Wenn ColdFusion von Windows und IIS auf Linux umzieht, ändern sich oft Schriften und Seitengrößen der erzeugten Dokumente. Damit verschieben sich Seitenumbrüche, Tabellen und Fußzeilen. Das fällt leicht erst nach dem Umschalten auf.
Ein zweites häufiges Problem sind Dateipfade. Windows arbeitet mit Laufwerksbuchstaben und Backslashes, etwa C:\inetpub\wwwroot, Linux mit einem einzigen Verzeichnisbaum und Schrägstrichen, etwa /var/www. Pfade, die im Code, in der Konfiguration oder in der Datenbank stehen, zum Beispiel zu Bildern und Schriften in PDFs oder zu Upload-Ordnern, passen nach dem Umzug nicht mehr. Außerdem unterscheidet Linux bei Dateinamen zwischen Groß- und Kleinschreibung. Wir haben solche Anwendungen bereits umgezogen und wissen, wo sich solche Pfade verstecken.
Unsere Migrationspläne enthalten deshalb einen eigenen Test: Wir vergleichen Dokumente vor und nach dem Umzug, prüfen installierte Schriften, Seitenformate und Dateipfade und korrigieren Abweichungen, bevor die Umstellung live geht.
Technologien und Umfang
| Bereich | Umfang |
|---|---|
| Laufzeit | Adobe ColdFusion 9 bis 2025, Lucee 5, 6 und 7 |
| Architektur | ColdSpring, eigene Frameworks |
| Migrationen | Windows und IIS nach Linux, Adobe ColdFusion nach Lucee, in Projekten durchgeführt |
| Dokumente | PDF-Erzeugung aus CFML, Verhalten nach einem Plattformwechsel |
| Container und API | Docker für Lucee und Adobe ColdFusion, CFML-Logik als REST- oder SOAP-API bereitstellen und einmalig absichern |
| Datenbanken und Server | MySQL und MariaDB mit Galera, Linux, TLS, KVM und Proxmox |
Typische Ausgangslagen bei ColdFusion und Lucee
-
-
Ihr Entwickler hat gekündigt oder ist bereits ausgeschieden, und das System muss weiterlaufen. Wir prüfen das System und legen Ihnen 48 Stunden nach Zugang einen schriftlichen Befund vor.
-
Ihr Team kommt nicht hinterher, Fachwissen fehlt oder vor einer wichtigen Entscheidung brauchen Sie eine Zweitmeinung? Wir übernehmen einen abgegrenzten Teil: ein Modul, das Backend zu Ihrem Frontend, eine Schnittstelle, eine Migration oder ein Code-Review. Wir arbeiten in Ihrem Repository und Ticketsystem, Code und Wissen bleiben bei Ihnen.
Der erste Schritt mit festem Umfang und festem Preis
ColdFusion-Check
Für Unternehmen mit einer Anwendung auf Adobe ColdFusion oder Lucee, die wissen wollen, ob ihre Installation noch unterstützt und sicher betrieben wird.
- Version und Patch-Stand (Adobe ColdFusion 9 bis 2025, Lucee 5 bis 7)
- Erreichbarkeit von Administrator und RDS
- JVM, Tomcat und TLS
- Backups, geplante Tasks, Datenquellen und Mailversand mit cfmail
- Optionen: mit Patches bleiben, Version anheben oder zu Lucee migrieren
Anwendungslogik und Code sind nicht Teil des Checks, dafür gibt es den Legacy-Review. Den Aufwand einer Migration schätzen wir in einem eigenen Angebot.
Was das Ergebnis enthält
Eine schriftliche Ergebnisliste nach Priorität, mit den Optionen und einer Empfehlung. Die Liste gehört Ihnen.
48-Stunden-Notfall-Einschätzung
Für Unternehmen, deren Entwickler oder Dienstleister plötzlich weg ist und deren System trotzdem weiterlaufen muss.
- Bestandsaufnahme: Versionen, Abhängigkeiten, Zugänge, Backups, geplante Tasks, Datenquellen und Mailversand
- Liste der Risiken, die sofort Aufmerksamkeit brauchen
- Stabilisierungsplan für die ersten 5 Tage und für die ersten 30 Tage
- kurze Besprechung der Ergebnisse
Das Ergebnis liegt 48 Stunden nach Zugang zum System vor. Änderungen am Produktivsystem und weitere Arbeiten erfolgen nur nach Ihrer Zustimmung.
Was das Ergebnis enthält
Ein schriftlicher Befund mit dem Zustand des Systems, den Sofortrisiken und dem Stabilisierungsplan. Der Befund gehört Ihnen.
Projekte mit ColdFusion
-
ColdFusion 2025 im Produktivbetrieb hinter Apache: fünf nicht offensichtliche Fallen
Wir haben eine Produktivinstallation von Adobe ColdFusion 2025 auf Debian 12 vorbereitet, hinter einem Apache 2.4, der schon mehrere andere Sites bedient. Die Installation selbst dauert 34 Sekunden. Die Aufmerksamkeit ging in den Konnektor und in Details, die leicht übersehen werden: ein Fehler 503 durch IPv6, Zuordnungen in jedem virtuellen Host und ein Profil, das still einen Debugger hinzufügt.
-
ColdFusion unter Last: Diagnose und Behebung des Fehlers JVM heap space
Eine Adobe-ColdFusion-Anwendung lief bei wenig Verkehr ohne Klagen und lieferte in Spitzenzeiten Fehler und wurde langsam. Wir haben das Problem auf einer echten Datenbank reproduziert, den genauen Punkt gemessen, an dem der JVM-Heap ausgeht, und die Speicherkonfiguration behoben, mit demselben Lasttest vorher und nachher als Beleg.
Fragen zu ColdFusion und Lucee
Kennen Sie nur Adobe ColdFusion oder auch Lucee?
Beides. Unsere Ingenieure arbeiten seit 2015 ununterbrochen mit ColdFusion und Lucee in Produktivsystemen. Das umfasst Adobe ColdFusion von Version 9 bis 2025 und Lucee 5, 6 und 7. Dazu kommen ColdSpring, eigene Frameworks und die Migration von Adobe ColdFusion zu Lucee.
Ist meine ColdFusion-Version noch sicher?
Das hängt davon ab, welche Version Sie einsetzen. ColdFusion 2025 und 2023 erhalten Sicherheits-Updates, ColdFusion 2021 und ältere Versionen nicht mehr (Stand: 2026-10). Für CVE-2026-48282, eine Lücke, die laut Adobe bereits in begrenzten Angriffen ausgenutzt wurde, hat Adobe nur für ColdFusion 2025 und 2023 Patches veröffentlicht.
Neben der Version zählen ein Administrator ohne Zugang aus dem Internet und regelmäßige Updates. Mit dem ColdFusion-Check prüfen wir Ihre Installation.
Ist meine Lucee-Version noch sicher?
Das hängt vom Zweig ab. Laut Lucee-Projekt hat Lucee 5.4 am 31.12.2025 sein Lebensende erreicht und erhält keine Sicherheits-Updates mehr; Lucee 6.2 ist der Zweig mit Langzeitsupport und Lucee 7 die aktuelle stabile Linie, beide erhalten Updates (Stand: 2026-10). Seine Sicherheitshinweise veröffentlicht das Projekt auf GitHub: Die Korrekturen für CVE-2024-55354 stehen in Lucee 5.4.7.3 und 6.1.1.118, für CVE-2026-29519 hat das Projekt im Oktober 2026 eine Korrektur für die Linie 7.1 übernommen.
Ebenso wichtig ist die Einrichtung: ein Lucee-Administrator, der aus dem Internet nicht erreichbar ist, eine aktuelle Java-Laufzeitumgebung und regelmäßig eingespielte Updates. Mit dem ColdFusion-Check prüfen wir auch Lucee-Installationen und sagen Ihnen, ob ein Update fällig ist. Alle Termine mit Quelle stehen in Lucee: Support-Ende im Überblick.
Können wir ColdFusion 2021 einfach weiterbetreiben?
Technisch ja, die Anwendung läuft weiter. Für ColdFusion 2021 gibt es laut Adobe-Ankündigung zum Support-Ende (öffnet in einem neuen Fenster) seit dem 10.11.2025 keine Sicherheits-Patches mehr, der erweiterte Support ist bis zum 10.11.2026 befristet (Stand: 2026-10). Wie hoch das Risiko ist, hängt davon ab, ob Anwendung und Administrator aus dem Internet erreichbar sind.
Als Übergang ist Weiterbetreiben vertretbar, solange der Wechsel vorbereitet wird: Administrator und RDS sperren, eine WAF mit Regeln für Ihre Anwendung davorsetzen, das Netz trennen. Das senkt das Risiko, beseitigt es aber nicht. Als Dauerzustand empfehlen wir es nicht, denn Auditoren, Versicherer und Kunden fragen häufig nach unterstützten Versionen.
Läuft unsere Anwendung unverändert auf Lucee?
Das lässt sich nicht pauschal sagen. Lucee setzt CFML um, aber nicht jede Funktion verhält sich wie bei Adobe ColdFusion. Typische Stolpersteine sind Adobe-spezifische Tags und Funktionen sowie die PDF-Ausgabe. Hinzu kommen Einstellungen aus dem ColdFusion Administrator, etwa Datenquellen, geplante Tasks und der Mailversand.
Unsere Ingenieure haben Anwendungen von Adobe ColdFusion zu Lucee migriert und planen Prüfungen und Tests von Anfang an ein. Wie gut Ihr Code zu Lucee passt, prüfen wir im Legacy-Review oder in der ersten Phase der Migration, bevor Sie entscheiden. Mehr dazu auf der Seite ColdFusion und Lucee.
Wie aufwendig ist das Update auf ColdFusion 2023 oder 2025?
Am meisten hängt am Code: ob und wie weit er in der neuen Version läuft. Zwischen ColdFusion-Versionen ändern manche Funktionen und Tags ihr Verhalten oder entfallen, dann muss der Code umgebaut werden. Am aufwendigsten ist es, wenn die Anwendung auf einem Framework aufbaut, das keine Updates mehr bekommt und die neue Version nicht unterstützt: Dann kommt die Anpassung oder der Ersatz des Frameworks dazu. Hinzu kommen eigene Java-Bibliotheken und Einstellungen des Servers. Dasselbe gilt für ein Update von Lucee.
Ausgehend von ColdFusion 2021 kommen 2023 (Core-Support bis 16.05.2028) und 2025 (laut Adobe-Matrix bis 26.02.2030) als Ziel infrage. Dazu kommen Lizenz, Tests und der Umzug der Einstellungen. Wie viele Arbeitstage das bei Ihnen sind, sagen wir nach dem ColdFusion-Check, nicht vorher.
Müssen wir unser System neu schreiben, um einen neuen Stack zu nutzen?
Nein. Läuft das alte System, stellen wir seine Logik als API bereit und schließen einmalig bekannte Lücken. Die Funktion soll dabei erhalten bleiben, Vergleichstests prüfen das. Das Neue bauen wir daneben im neuen Stack, der diese API nutzt.
Ein Neuschreiben lohnt sich selten. Es kommt infrage, wenn das Framework nicht mehr gepflegt wird, es keine Tests gibt und sich die Geschäftsregeln aufschreiben lassen. Ob das bei Ihnen zutrifft, klärt der Legacy-Review.
Welche Projekte haben Sie schon umgesetzt?
Unsere Ingenieure haben an diesen Systemtypen gearbeitet:
- Plattformen zur Kreditabwicklung mit mehreren Prozessen und Vertriebskanälen, auch direkt für Banken
- Plattformen für die Hypothekenfinanzierung
- Leasing-Plattformen
- Systeme zur Erzeugung von Dokumenten und Verträgen
- Videoportale mit Streaming und automatischer Konvertierung der Videos
- Nachrichten- und Kleinanzeigenportale mit hohem Besucheraufkommen
- Webservices von Unternehmen, die für die öffentliche Hand arbeiten, auch für Kultureinrichtungen
Ausgewählte Projekte beschreiben wir im Detail auf der Projektseite, darunter ColdFusion im Produktivbetrieb und unter Last, E-Mail-Zustellbarkeit, ein von Bots überfluteter Shop und SQL-Indizes in einer Shop-Datenbank.
Nicht sicher, welche Leistung zu Ihrem System passt?
Beschreiben Sie Ihr System in zwei Sätzen. Wir sagen Ihnen, welche Leistung passt und ob ein Einstiegsprodukt mit festem Preis der richtige erste Schritt ist.